当前位置：首页 > 文章列表 > 文章 > java教程 > SpringSecurity配置JWT过滤器详解

SpringSecurity配置JWT过滤器详解

2025-07-18 23:09:26 0浏览收藏

文章不知道大家是否熟悉？今天我将给大家介绍《Spring Security配置JWT过滤器方法》，这篇文章主要会讲到等等知识点，如果你在看完本篇文章后，有更好的建议或者发现哪里有问题，希望大家都能积极评论指出，谢谢！希望我们能一起加油进步！

Spring Security：为特定URL模式配置JWT过滤器

本教程详细讲解如何在Spring Boot Security中，精确控制JWT（JSON Web Token）过滤器的应用范围，使其仅作用于指定的URL模式，而非全局生效。通过继承AbstractAuthenticationProcessingFilter并结合RequestMatcher接口，开发者可以灵活定义哪些请求路径需要JWT认证，从而优化安全策略，避免不必要的性能开销，并增强应用的模块化安全性。文章将提供详细的代码示例和配置步骤，帮助读者实现定制化的安全过滤逻辑。

在Spring Security中，我们经常需要自定义过滤器来处理特定的认证或授权逻辑，例如JWT认证。然而，默认情况下，通过HttpSecurity.addFilterBefore()或addFilterAt()添加的过滤器会作用于所有进来的HTTP请求。对于JWT认证而言，通常我们只希望它对受保护的API路径（例如/api/**）生效，而对静态资源、登录页面或公共接口则无需进行JWT验证。本文将介绍如何利用Spring Security提供的AbstractAuthenticationProcessingFilter和RequestMatcher接口，实现JWT过滤器的精确控制。

挑战：全局过滤器与局部需求

当我们将一个自定义JWT过滤器（例如CustomJwtAuthenticationFilter）通过以下方式添加到安全链中时：

http.addFilterBefore(customJwtAuthenticationFilter, UsernamePasswordAuthenticationFilter.class);

这个customJwtAuthenticationFilter将会在UsernamePasswordAuthenticationFilter之前，对所有进入应用的请求进行处理。这意味着即使是访问/login、/或任何非API路径，该过滤器也会被触发，这不仅可能导致不必要的性能开销，还可能在某些情况下抛出异常（例如，尝试从没有JWT的请求头中解析令牌）。

解决方案：AbstractAuthenticationProcessingFilter与RequestMatcher

Spring Security提供了一个抽象类AbstractAuthenticationProcessingFilter，它专门用于处理基于请求匹配的认证流程。这个类的核心在于其构造函数可以接收一个RequestMatcher对象。当一个请求到达时，AbstractAuthenticationProcessingFilter会首先调用其内部的RequestMatcher的matches()方法。只有当matches()方法返回true时，过滤器才会继续执行其认证逻辑（即调用attemptAuthentication()方法）；否则，它会直接跳过认证过程，将请求传递给安全链中的下一个过滤器。

RequestMatcher是一个接口，它定义了如何根据HttpServletRequest来判断一个请求是否匹配特定条件。Spring Security提供了多种RequestMatcher的实现，其中最常用的是：

AntPathRequestMatcher：基于Ant风格路径模式匹配URL。
OrRequestMatcher：将多个RequestMatcher组合，只要有一个匹配就返回true。
AndRequestMatcher：将多个RequestMatcher组合，只有所有都匹配才返回true。
NegatedRequestMatcher：对另一个RequestMatcher的结果取反。

实现步骤

我们将通过以下步骤实现JWT过滤器的精确控制：

1. 改造 CustomJwtAuthenticationFilter

让你的JWT认证过滤器继承AbstractAuthenticationProcessingFilter，并在构造函数中接收RequestMatcher和AuthenticationManager。

import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.AuthenticationException;
import org.springframework.security.web.authentication.AbstractAuthenticationProcessingFilter;
import org.springframework.security.web.util.matcher.RequestMatcher;

import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

/**
 * 自定义JWT认证过滤器，仅对匹配特定RequestMatcher的请求进行处理。
 */
public class CustomJwtAuthenticationFilter extends AbstractAuthenticationProcessingFilter {

    /**
     * 构造函数。
     * @param requiresAuthenticationRequestMatcher 定义哪些请求需要此过滤器处理的RequestMatcher
     * @param authenticationManager 认证管理器，用于执行认证逻辑
     */
    public CustomJwtAuthenticationFilter(RequestMatcher requiresAuthenticationRequestMatcher, AuthenticationManager authenticationManager) {
        super(requiresAuthenticationRequestMatcher); // 将RequestMatcher传递给父类
        setAuthenticationManager(authenticationManager); // 设置认证管理器
    }

    /**
     * 实现JWT认证的核心逻辑。
     * 只有当RequestMatcher匹配时，此方法才会被调用。
     */
    @Override
    public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response)
            throws AuthenticationException, IOException, ServletException {
        // 在这里实现你的JWT解析和认证逻辑
        // 例如：从请求头中获取JWT令牌
        String authorizationHeader = request.getHeader("Authorization");
        if (authorizationHeader == null || !authorizationHeader.startsWith("Bearer ")) {
            // 如果没有Bearer Token，抛出认证异常，或返回null让后续认证机制处理
            throw new AuthenticationException("Missing or invalid JWT token in Authorization header") {};
        }

        String jwtToken = authorizationHeader.substring(7); // 提取JWT字符串

        // TODO: 根据你的JWT库和业务逻辑验证jwtToken，并构建一个Authentication对象
        // 例如：
        // JwtAuthenticationToken authenticationToken = new JwtAuthenticationToken(jwtToken);
        // return getAuthenticationManager().authenticate(authenticationToken); // 委托给AuthenticationManager进行认证

        // 示例：此处仅为演示，实际应替换为你的JWT验证逻辑
        System.out.println("Processing JWT for path: " + request.getRequestURI());
        // 假设成功验证并返回一个Authentication对象
        // return new UsernamePasswordAuthenticationToken("user", null, Collections.emptyList());
        throw new UnsupportedOperationException("JWT认证逻辑待实现，请替换为实际的令牌验证和用户身份构建。");
    }

    // 可选：重写successfulAuthentication和unsuccessfulAuthentication方法来处理认证成功或失败后的逻辑
    // @Override
    // protected void successfulAuthentication(HttpServletRequest request, HttpServletResponse response, FilterChain chain, Authentication authResult) throws IOException, ServletException {
    //     super.successfulAuthentication(request, response, chain, authResult);
    //     // 认证成功后继续过滤器链
    //     chain.doFilter(request, response);
    // }

    // @Override
    // protected void unsuccessfulAuthentication(HttpServletRequest request, HttpServletResponse response, AuthenticationException failed) throws IOException, ServletException {
    //     // 认证失败处理，例如返回401 Unauthorized
    //     response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
    //     response.getWriter().write("Authentication Failed: " + failed.getMessage());
    // }
}

2. 定义 RequestMatcher

针对“只过滤/api/**路径”的需求，我们可以使用AntPathRequestMatcher。

import org.springframework.security.web.util.matcher.AntPathRequestMatcher;
import org.springframework.security.web.util.matcher.RequestMatcher;
import org.springframework.security.web.util.matcher.OrRequestMatcher;
import java.util.Arrays;
import java.util.List;
import java.util.stream.Collectors;

// 简单匹配单个路径模式
// RequestMatcher apiRequestMatcher = new AntPathRequestMatcher("/api/**");

// 如果需要匹配多个路径模式，可以使用OrRequestMatcher
// RequestMatcher multiPathMatcher = new OrRequestMatcher(
//     new AntPathRequestMatcher("/api/v1/**"),
//     new AntPathRequestMatcher("/secure/**")
// );

3. 配置 Spring Security

在你的安全配置类（通常是继承WebSecurityConfigurerAdapter或使用SecurityFilterChain）中，将改造后的CustomJwtAuthenticationFilter作为Bean注入，并添加到安全链中。

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.config.http.SessionCreationPolicy;
import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;
import org.springframework.security.web.util.matcher.AntPathRequestMatcher;
import org.springframework.security.web.util.matcher.RequestMatcher;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    // 假设你有一个JwtAuthenticationEntryPoint处理认证失败的入口点
    // @Autowired
    // private JwtAuthenticationEntryPoint jwtAuthenticationEntryPoint;

    // 假设你有一个UserDetailsService用于加载用户详情（如果JWT认证需要）
    // @Autowired
    // private UserDetailsService userDetailsService;

    /**
     * 配置HTTP安全策略。
     */
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable() // 禁用CSRF，因为JWT是无状态的
            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS) // 设置会话管理为无状态
            .and()
            // .exceptionHandling().authenticationEntryPoint(jwtAuthenticationEntryPoint).and() // 配置认证入口点处理未认证请求
            .authorizeRequests()
            .antMatchers("/api/**").authenticated() // 明确指定 /api/** 路径需要认证
            .anyRequest().permitAll() // 其他所有请求都允许访问
            .and()
            // 将我们定制的JWT过滤器添加到UsernamePasswordAuthenticationFilter之前
            .addFilterBefore(customJwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);
    }

    /**
     * 将CustomJwtAuthenticationFilter注册为Spring Bean。
     * 注意：这里需要捕获AuthenticationManagerBean()抛出的异常。

终于介绍完啦！小伙伴们，这篇关于《SpringSecurity配置JWT过滤器详解》的介绍应该让你收获多多了吧！欢迎大家收藏或分享给更多需要学习的朋友吧~golang学习网公众号也会发布文章相关知识，快来关注吧！